Cyberkriminelle setzen verstärkt auf gefälschte Kalender-Einladungen, um Malware zu verbreiten. Ein aktueller Bericht des Cybersicherheitsunternehmens Sublime zeigt eine dramatische Zunahme dieser Angriffe in den letzten Monaten. Im Juni stiegen die Attacken um 282 % im Vergleich zum Vormonat, im Juli um 338 % und im August um 1.216 %. Für September wird sogar ein Anstieg von 2.852 % gegenüber August prognostiziert.
Diese Betrugsmasche, von Sublime als ICS-Phishing bezeichnet, nutzt den iCalendar-Standard. ICS-Dateien enthalten Details für Besprechungs- oder Termineinladungen. Viele E-Mail-Programme wie Microsoft Outlook, Gmail und Apple Mail fügen solche Einladungen automatisch dem Kalender hinzu, noch bevor der Empfänger sie annimmt oder ablehnt. Dies ermöglicht es Angreifern, Sicherheitsscanner zu umgehen und die bösartigen Informationen direkt im Kalender des Opfers zu platzieren.
Warum Kalender-Angriffe erfolgreich sind
Die Beliebtheit dieser Methode resultiert aus ihrer relativen Einfachheit und der Ausnutzung von Standardeinstellungen in E-Mail-Programmen. John Gallagher, Vizepräsident des Cyberhygiene-Anbieters Viakoo, betont, dass der Erfolg dieser Angriffe auf einem impliziten Vertrauen basiere – sowohl in die beteiligten Systeme als auch in die Einladung selbst. Angreifer gehen davon aus, dass Standardeinstellungen aktiv sind und Kalender-Einladungen weniger misstrauisch betrachtet werden als klassische Phishing-E-Mails.
Die Gefahr liegt im Inhalt der Einladung: Links oder QR-Codes können das System des Opfers kompromittieren. Selbst das Ablehnen einer Einladung kann Angreifern bestätigen, dass die E-Mail-Adresse aktiv ist.
Ein von Sublime hervorgehobener Fall nutzte eine Google-Kalender-Einladung, um einen Link zu einer bösartigen Remote Monitoring and Management (RMM)-Nutzlast zu liefern. RMM-Software ermöglicht die Fernwartung und -verwaltung von Computersystemen. Die E-Mail lockte Nutzer mit einer angeblichen Gutschrift auf eine Rechnung und lud sie zu einem Treffen ein. Beim Klicken auf den Link in der Kalendereinladung gelangten die Opfer auf eine bei Framer gehostete Seite, wo sie zum Herunterladen einer vermeintlichen Gutschrift aufgefordert wurden. Diese Datei war jedoch eine bösartige MSI-Installationsdatei, die das legitime Fernzugriffstool ScreenConnect als Command and Control (C2)-Server missbrauchte, um infizierte Systeme zu steuern.
Schutzmaßnahmen gegen Kalender-Malware
Experten raten dringend zur Vorsicht. Shane Barney, Chief Information Security Officer bei Keeper Security, empfiehlt:
- Klicken Sie niemals auf Links in verdächtigen Kalendereinladungen.
- Sagen Sie weder zu noch ab, da dies die Aktivität Ihrer E-Mail-Adresse bestätigen kann.
- Löschen Sie das Ereignis stattdessen direkt aus Ihrem Kalender.
- Melden Sie die Einladung als Spam, falls Ihr E-Mail-Anbieter diese Funktion bietet.
- Passen Sie die Einstellungen Ihres Kalenders an, um die automatische Hinzufügung von Einladungen unbekannter Absender zu deaktivieren.
So ändern Sie die Einstellungen in gängigen Programmen:
- Für Google Kalender (Gmail):
Gehen Sie zu Google Kalender, klicken Sie auf das Zahnrad-Symbol und wählen Sie Einstellungen. Unter Allgemein wählen Sie Ereigniseinstellungen. Ändern Sie das Dropdown-Menü für Einladungen zu meinem Kalender hinzufügen auf Nur wenn der Absender bekannt ist oder besser noch auf Wenn ich auf die Einladung in der E-Mail antworte. - Für klassisches Microsoft Outlook:
Gehen Sie zum Menü Datei, wählen Sie Optionen und klicken Sie dann auf E-Mail. Scrollen Sie zum Abschnitt Nachverfolgung und deaktivieren Sie das Kontrollkästchen Besprechungsanfragen und Antworten auf Besprechungsanfragen und Umfragen automatisch verarbeiten. Wechseln Sie anschließend zum Bildschirm Kalender in den Outlook-Optionen. Scrollen Sie zum Abschnitt Automatisch annehmen oder ablehnen, klicken Sie auf die Schaltfläche Automatisch annehmen/ablehnen und deaktivieren Sie das Kontrollkästchen Besprechungsanfragen automatisch annehmen und abgesagte Besprechungen entfernen. Bestätigen Sie mit OK.
Thema: Technologie / KI allgemein. Quelle/Inspiration: ZDNet.